Ist ChatGPT eine Cybersicherheitskatastrophe? Wir haben die Experten gefragt

Sanket Mishra / Pexels

ChatGPT scheint im Moment ziemlich unausweichlich zu sein, und scheinbar überall, wo man hinschaut, wundern sich Geschichten über seine Fähigkeiten. Wir haben gesehen, wie es Musik schreiben, 3D-Animationen rendern und Musik komponieren kann. Wenn es Ihnen einfällt, kann ChatGPT es wahrscheinlich versuchen.

Und genau das ist das Problem. In der Tech-Community herrscht derzeit allerhand Streit, und Kommentatoren befürchten häufig, dass KI zu einer Malware-Apokalypse führen wird, bei der selbst die Hacker mit dem grünen Daumen unaufhaltsame Trojaner und Ransomware heraufbeschwören.

Aber stimmt das tatsächlich? Um das herauszufinden, habe ich mit einer Reihe von Cybersicherheitsexperten gesprochen, um zu erfahren, was sie von den Malware-Fähigkeiten von ChatGPT halten, ob sie sich Sorgen über das Missbrauchspotenzial machen und was Sie tun können, um sich in dieser aufbrechenden neuen Welt zu schützen.

Fragwürdige Fähigkeiten

Matthew Bertelli / Pexels

Eine der Hauptattraktionen von ChatGPT ist seine Fähigkeit, komplizierte Aufgaben mit nur wenigen einfachen Eingabeaufforderungen auszuführen, insbesondere in der Welt der Programmierung. Es besteht die Befürchtung, dass dies die Eintrittsbarrieren für die Erstellung von Malware senken würde, was möglicherweise zu einer Verbreitung von Virenautoren führen würde, die sich auf KI-Tools verlassen, um die schwere Arbeit für sie zu erledigen.

Joshua Long, Chef-Sicherheitsanalyst beim Sicherheitsunternehmen Intego, veranschaulicht diesen Punkt. „Wie jedes Werkzeug in der physischen oder virtuellen Welt kann Computercode zum Guten oder zum Bösen eingesetzt werden“, erklärt er. „Wenn Sie beispielsweise Code anfordern, der eine Datei verschlüsseln kann, kann ein Bot wie ChatGPT Ihre wahre Absicht nicht kennen. Wenn Sie behaupten, dass Sie einen Verschlüsselungscode benötigen, um Ihre eigenen Dateien zu schützen, wird der Bot Ihnen glauben – selbst wenn Ihr eigentliches Ziel darin besteht, Ransomware zu erstellen.“

ChatGPT verfügt über verschiedene Schutzmaßnahmen, um solche Dinge zu bekämpfen, und der Trick für Virenersteller besteht darin, diese Schutzmaßnahmen zu umgehen. Fordern Sie ChatGPT unverblümt auf, einen effektiven Virus zu erstellen, und er wird sich einfach weigern, und Sie müssen kreativ werden, um ihn zu überlisten und ihn wider besseres Wissen dazu zu bringen, Ihren Befehlen nachzukommen. Wenn man bedenkt, was Menschen mit Jailbreaks in ChatGPT machen können, erscheint die Möglichkeit, mithilfe von KI Malware zu erstellen, theoretisch möglich. Tatsächlich wurde es bereits demonstriert, wir wissen also, dass es möglich ist.

Aber nicht jeder gerät in Panik. Martin Zugec, Technical Solutions Director bei Bitdefender, hält die Risiken noch für recht gering. „Die Mehrheit der unerfahrenen Malware-Autoren verfügt wahrscheinlich nicht über die erforderlichen Fähigkeiten, um diese Sicherheitsmaßnahmen zu umgehen, und daher bleibt das Risiko, das von Chatbot-generierter Malware ausgeht, derzeit relativ gering“, sagt er.

„Von Chatbots generierte Malware war in letzter Zeit ein beliebtes Diskussionsthema“, fährt Zugec fort, „aber es gibt derzeit keine Hinweise darauf, dass sie in naher Zukunft eine erhebliche Bedrohung darstellt.“ Und dafür gibt es einen einfachen Grund. Laut Zugec ist „die Qualität des von Chatbots erzeugten Malware-Codes tendenziell gering, was ihn zu einer weniger attraktiven Option für erfahrene Malware-Autoren macht, die in öffentlichen Code-Repositorys bessere Beispiele finden können.“

Joe Maring / Digitale Trends

Während es also sicherlich möglich ist, ChatGPT dazu zu bringen, bösartigen Code zu erstellen, wird jeder, der über die nötigen Fähigkeiten verfügt, um den KI-Chatbot zu manipulieren, wahrscheinlich von dem schlechten Code, den er erstellt, unbeeindruckt sein, glaubt Zugec.

Aber wie Sie sich vielleicht vorstellen können, steht die generative KI gerade erst am Anfang. Und für Long bedeutet das, dass die von ChatGPT ausgehenden Hacking-Risiken noch nicht in Stein gemeißelt sind.

„Es ist möglich, dass der Aufstieg LLM-basierter KI-Bots zu einem kleinen bis moderaten Anstieg neuer Malware oder einer Verbesserung der Malware-Fähigkeiten und der Antivirenumgehung führt“, sagt Long und verwendet dabei ein Akronym für die großen Sprachmodelle, die KI verwenden Tools wie ChatGPT nutzen, um ihr Wissen aufzubauen. „Zu diesem Zeitpunkt ist jedoch nicht klar, welchen direkten Einfluss Tools wie ChatGPT auf reale Malware-Bedrohungen haben oder haben werden.“

Der Freund eines Phishers

Wenn die Code-Schreibfähigkeiten von ChatGPT noch nicht auf dem neuesten Stand sind, könnte es dann auf andere Weise eine Bedrohung darstellen, beispielsweise durch das Schreiben effektiverer Phishing- und Social-Engineering-Kampagnen? Hier sind sich die Analysten einig, dass deutlich mehr Missbrauchspotenzial besteht.

Ein potenzieller Angriffsvektor für viele Unternehmen sind die Mitarbeiter des Unternehmens, die ausgetrickst oder manipuliert werden können, um unbeabsichtigt Zugriff zu gewähren, wo sie es nicht sollten. Hacker wissen das, und es gab viele aufsehenerregende Social-Engineering-Angriffe, die sich als katastrophal erwiesen haben. Man geht beispielsweise davon aus, dass die nordkoreanische Lazarus-Gruppe im Jahr 2014 mit dem Eindringen in die Systeme von Sony begann – was zum Durchsickern unveröffentlichter Filme und persönlicher Daten führte –, indem sie sich als Personalvermittler ausgab und einen Sony-Mitarbeiter dazu brachte, eine infizierte Datei zu öffnen.

Dies ist ein Bereich, in dem ChatGPT Hackern und Phishern erheblich dabei helfen könnte, ihre Arbeit zu verbessern. Wenn beispielsweise Englisch nicht die Muttersprache eines Bedrohungsakteurs ist, könnte er mithilfe eines KI-Chatbots eine überzeugende Phishing-E-Mail für ihn verfassen, die sich an englischsprachige Personen richtet. Oder es könnte verwendet werden, um schnell eine große Anzahl überzeugender Botschaften in viel kürzerer Zeit zu erstellen, als menschliche Bedrohungsakteure für die gleiche Aufgabe benötigen würden.

Die Lage könnte noch schlimmer werden, wenn andere KI-Tools hinzukommen. Wie Karen Renaud, Merrill Warkentin und George Westerman im Sloan Management Review des MIT postuliert haben, könnte ein Betrüger mit ChatGPT ein Skript erstellen und es am Telefon von einer gefälschten Stimme vorlesen lassen, die sich als CEO eines Unternehmens ausgibt. Für einen Mitarbeiter des Unternehmens, der den Anruf erhält, würde die Stimme genauso klingen und wirken wie die ihres Chefs. Wenn diese Stimme den Mitarbeiter auffordert, einen Geldbetrag auf ein neues Bankkonto zu überweisen, könnte der Mitarbeiter aufgrund der Ehrerbietung, die er seinem Chef entgegenbringt, durchaus auf den Trick hereinfallen.

Wie Long es ausdrückt: „Tu es nicht mehr [threat actors] müssen sich auf ihre eigenen (oft mangelhaften) Englischkenntnisse verlassen, um eine überzeugende Betrugs-E-Mail zu verfassen. Sie müssen sich auch nicht einmal eine eigene clevere Formulierung ausdenken und diese über Google Translate übertragen. Stattdessen schreibt ChatGPT – ohne sich der potenziellen böswilligen Absicht hinter der Anfrage überhaupt nicht bewusst zu sein – gerne den gesamten Text der Betrugs-E-Mail in jeder gewünschten Sprache.“

Und alles, was erforderlich ist, um ChatGPT dazu zu bringen, dies tatsächlich zu tun, ist eine clevere Aufforderung.

Kann ChatGPT Ihre Cybersicherheit verbessern?

Shutterstock

Dennoch ist nicht alles schlecht. Dieselben Eigenschaften, die ChatGPT zu einem attraktiven Tool für Bedrohungsakteure machen – seine Geschwindigkeit und seine Fähigkeit, Fehler im Code zu finden – machen es zu einer hilfreichen Ressource für Cybersicherheitsforscher und Antivirenfirmen.

Long weist darauf hin, dass Forscher bereits KI-Chatbots verwenden, um noch unentdeckte („Zero-Day“) Schwachstellen im Code zu finden, indem sie einfach den Code hochladen und ChatGPT fragen, ob potenzielle Schwachstellen erkannt werden können. Das bedeutet, dass die gleiche Methode, die die Abwehrkräfte schwächen könnte, auch zu ihrer Stärkung genutzt werden kann.

Und während der Hauptvorteil von ChatGPT für Bedrohungsakteure möglicherweise in seiner Fähigkeit liegt, plausible Phishing-Nachrichten zu verfassen, können dieselben Talente Unternehmen und Benutzern dabei helfen, zu schulen, worauf sie achten müssen, um selbst nicht betrogen zu werden. Es könnte auch dazu verwendet werden, Malware zurückzuentwickeln und Forschern und Sicherheitsfirmen dabei zu helfen, schnell Gegenmaßnahmen zu entwickeln.

Letztendlich ist ChatGPT an sich weder gut noch schlecht. Zugec weist darauf hin: „Das Argument, dass KI die Entwicklung von Malware erleichtern kann, könnte auf jeden anderen technologischen Fortschritt zutreffen, der Entwicklern Vorteile gebracht hat, etwa Open-Source-Software oder Code-Sharing-Plattformen.“

Mit anderen Worten: Solange die Sicherheitsmaßnahmen weiter verbessert werden, wird die Bedrohung selbst durch die besten KI-Chatbots möglicherweise nie so gefährlich werden, wie kürzlich vorhergesagt wurde.

So schützen Sie sich

Wenn Sie sich Sorgen über die Bedrohungen machen, die von KI-Chatbots ausgehen, und über die Malware, die sie missbrauchen können, können Sie einige Schritte unternehmen, um sich zu schützen. Zugec sagt, es sei wichtig, einen „mehrschichtigen Verteidigungsansatz“ zu verfolgen, der „die Implementierung von Endpunkt-Sicherheitslösungen, die Aktualisierung von Software und Systemen und die Wahrung verdächtiger Nachrichten oder Anfragen“ umfasst.

Long empfiehlt hingegen, sich von Dateien fernzuhalten, zu deren Installation Sie beim Besuch einer Website automatisch aufgefordert werden. Wenn Sie eine App aktualisieren oder herunterladen möchten, besorgen Sie sich diese im offiziellen App Store oder auf der Website des Softwareanbieters. Und seien Sie vorsichtig, wenn Sie auf Suchergebnisse klicken oder sich auf einer Website anmelden – Hacker können einfach dafür bezahlen, ihre Betrugsseiten ganz oben in den Suchergebnissen zu platzieren und Ihre Anmeldeinformationen mit sorgfältig gestalteten, ähnlichen Websites zu stehlen.

ChatGPT wird nirgendwo hingehen, und die Malware, die weltweit so großen Schaden anrichtet, auch nicht. Während die Bedrohung durch die Codierungsfähigkeiten von ChatGPT vorerst übertrieben sein mag, könnte seine Fähigkeit, Phishing-E-Mails zu erstellen, allerlei Kopfschmerzen verursachen. Dennoch ist es durchaus möglich, sich vor der Bedrohung zu schützen und sicherzustellen, dass Sie nicht zum Opfer werden. Im Moment kann viel Vorsicht – und eine solide Antiviren-App – dabei helfen, die Sicherheit Ihrer Geräte zu gewährleisten.